记录一次云主机遭受 CC 攻击及报 AN 处理经过

[neurocomputing]

用的阿里家的云主机，由于本来不是访问量很大的网站，就没有开 WAF ，只开了全站加速

6 日早晨开始遭受 CC 攻击，早上一睁眼发现手机上受到警报信息

大量 IP 针对网站 static 文件夹下的静态文件发起请求，消耗大量流量，短时间内被刷掉几百 G

后台查看 HTTP 服务器的 log 发现是很大数量不同 IP 请求，全世界哪儿的 IP 都有，请求的都是同一个文件，初步看没法封 IP ，就把静态文件给改了个名，这样至少流量就不会掉很快

结果发现，改了文件名返回 404 之后，请求频率就更高了

于是，赶紧开了 WAF,设置对该静态文件的全部请求进行拦截，立杆见影。 同时也发现了两个事实： 1.请求频率差不多是每分钟 3000+ 2.其实只有 1 个 IP 来源，通过 http 头伪造了 IP 。（才想起来，之前看的都是 HTTP log,要是仔细查一下 req 细节，其实就早就明白了）

然后，封 IP 。 由于查到该 IP 是南方某市的，直接打了当地 110 号，但是回复说应就近报警，由我这边 GA 来调查，他们配合

想来也麻烦，目前反馈给阿里家，客服主动开了提交网警的工单，等后续。

[52txr]

@LanFomalhaut 很多 PCDN 是这样子刷的，就是对一个图片文件使劲刷

[humxman]

@52txr #16 你躲到 CF 之后要换 IP 并禁止非 CF IP 访问你的服务器。

[xfelix]

@52txr 既然套了 cf ，那就屏蔽掉所有除了 cf ip 段过来的连接，另外把原先服务器 ip 地址改一个，只让 cf 知道

[ncmonster]

防 CC 可以上一个雷池 WAF 啊

[esee]

被刷量的文件有多大呀

[yaocf]

@52txr 首先看看是不是源站地址泄露（查看请求头，是否是 cloudflare 的请求），大多数情况下，恶意地址会被 cf 自动拦截验证的。源站泄露可以先 sni 分流，针对 cf 的域名，开 nginx 的 allow ip ，只允许 cf 的地址进行请求。

[iqoo]

不开限流就算用单 IP 几分钟就可以给你压上几百 GB 。

[52txr]

@yaocf 老哥，我设置了发现正常访问也不行了咋回事，刚刚提问了已经
希望用户只能通过 Cloudflare CDN 访问网站，你们怎么配置 Nginx 的？ https://www.v2ex.com/t/1095751

[yaocf]

@yaocf 如果不是源站地址泄露。针对这种情况，简单点的处理：在 nginx 里写方法去匹配 cf 给的 real ip （本地通过 include nginx 配置文件维护一个变量，保存所有恶意 ip ），然后直接返回 404 ，就不会打到业务代码上了。然后可以配合 fail2ban 自动更新恶意 ip 的配置文件。

[lixon166]

网站什么内容 会不会被 jc 反查

[yaocf]

@52txr 你的回复里这两个请求，都是 Baiduspider 的，你是不是没有开 cf 的那个防止爬虫的保护？

[yaocf]

@52txr 你是不是开了 real ip?的模块。开了就会重写源地址，然后走到 allow ip 就会被拦住。

[GeekGao]

"实只有 1 个 IP 来源，通过 http 头伪造了 IP "

完全可以通过 waf 防啊，限制同一个 ip / 同地区的访问频率

[konakona]

@52txr 你这个情况应该是 CF 认为还有必要回源，导致这些 CF 没有缓存过的 URI 被回源到了你的服务器，导致了大量的 TCP 握手扔回去一个 404 ；你看看要不要考虑让 CF 对整站进行缓存，同时对于明显可疑的 query 和 path 进行拦截规则的设定。

[feitxue]

请问报案的案在本坛是敏感词吗？
你这个标题的 AN 我脑子一下子没反应过来。。。

[daimaosix]

@feitxue Stronge

[daimaosix]

@daimaosix Strong

[buildops]

建议可以到工信部平台投诉查处这个违法 IP： https://ts.isc.org.cn 或 https://yhssglxt.miit.gov.cn
之前一个博主被 PCDN 恶意刷量的投诉成功 case： https://www.idcbuy.net/talk/3242.html